Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
Strony: 1
Cześć.
Dawno temu utworzyłem profil AppArmor dla systemd-timesyncd (ścieżka /usr/lib/systemd/systemd-timesyncd).
Wszystko zdawało się działać, profil pojawiał się w sekcji 'enforced' polecenia aa-status.
Później, dodałem profil dla systemd-resolved (ścieżka /usr/lib/systemd/systemd-resolved). Podobnie jak wyżej,
nie widziałem problemów. Kiedy, zmieniłem zapis ścieżek w obu profilach na:
/{,usr/}lib/systemd/systemd-timesyncd
/{,usr/}lib/systemd/systemd-resolved
w celu uwzględnienia również ścieżek /lib/systemd/systemd-{timesyncd,resolved}, okazało się, że
np. po zalogowaniu do systemu profile nie pojawiają się w sekcji 'enforced' (wygląda to tak,
jakby w ogóle nie zostały uruchomione). Oczywiście, dostępne są w bloku profili tzn. "X profiles are in enforce mode."
Po powrocie do poprzedniego, domyślnego zapisu, profile pojawiają się, ale tym razem w sekcji:
,----[ aa-status ]
2 processes are unconfined but have a profile defined.
/usr/lib/systemd/systemd-resolved (413)
/usr/lib/systemd/systemd-timesyncd (414)
`----
Dopiero restart obu usług za pomocą polecenia [systemctl restart] sprawia, że pojawiają się
w odpowiednim miejscu: "X processes are in enforce mode."
Spróbowałem usunąć oba profile i utworzyć je na nowo, ale to nie pomogło. Czy ktoś z Was mógłby
pomóc w rozwiązaniu tego problemu? Przecież skoro usługi są ustawione w tryb 'enforce',
to powinny znajdować się w odpowiedniej sekcji polecenia [aa-status].
Dlaczego więc pojawiły się problemy z dwoma wymienionymi profilami?
Dzięki, pozdrawiam.
____________________
P.S. W profilu wpa_supplicant zastosowałem taki zapis: '/{,usr/}sbin/wpa_supplicant' i nie ma
problemu. Za każdym razem profil jest umieszczony w odpowiednim miejscu.
Offline
Prawdopodobnie wstały przed wczytaniem profili AA, ustaw Apparmora, aby wstawał w systemd najwcześniej, jak się da, koniecznie przed usługami, które ma chronić.
Offline
Cześć Jacekalex. Możesz nakierować mnie w jaki sposób można to zrobić? Pytam bo np. AppArmor, według logów, startuje
przed systemd-timesyncd (ale w tym przypadku, zdarza się że czas jest zaktualizowany "lokalnie" - "(...) restoring from recorded timestam").
A może rozwiązaniem jest restart usług za pomocą mechanizmu znanego choćby z pliku /etc/rc.local? Albo utworzyć
plik /etc/systemd/system/run-before-login.service, dodać odpowiednie opcje itd. Ale takie rozwiązanie, w pewien sposób,
przeczy posiadaniu profilów AppArmor.
Być może powodem są aktualizacje (np. z kwietnia), które dot. m.in. systemd-timesyncd - ale to tylko luźna myśl.
Pozdro.
Offline
Nie mam w tej chwili pod ręką Systemd, w Gentusiowym OpenRC Apparmor wstaje w profilu sysinit w towarzystwie udeva.
# root ~> rc-status sysinit * Caching service dependencies ... [ ok ] Runlevel: sysinit sysfs [ started ] devfs [ started ] kmod-static-nodes [ started ] udev [ started ] systemd-tmpfiles-setup-dev [ started ] apparmor [ started ] dmesg [ started ] cgroups [ started ] udev-trigger [ started ]
Co do Apparmora i Systemd to raczej Morfik będzie bardziej zorientowany.
;)
Ostatnio edytowany przez Jacekalex (2023-05-12 20:59:53)
Offline
Ja tam ładuje profile przed startem systemu: xD
Ostatnio edytowany przez morfik (2023-05-14 08:23:05)
Offline
Cześć.
Sorry chłopaki za zwłokę z odpowiedzią, ale nie miałem czasu. W wolnej chwili przeglądne
stronę podaną przez Ciebie, Morfik.
Na tę chwilę rozwiązałem to w ten sposób: utworzyłem plik /etc/NetworkManager/dispatcher.d/10-timesync-resolved-restart,
dodałem dwa polecenia systemctl restart, oddzielone przez 0.2 sekundy. Wygląda na to, że działa.
Po ponownym zalogowaniu się do systemu, sprawdzając status AppArmor, oba procesy - systemd-timesyncd
i systemd-resolved znajdują się w odpowiednim miejscu.
To rozwiązanie jest jednak jak proteza. Mam nadzieje, że chwilowa.
A może to jest jakiś bug w AppArmor? Co o tym myślicie?
Pozdrawiam.
Offline
Cześć.
Morfik, napisałem wyraźnie, że zrobię to, ale w wolnej chwili... :- )
Pozdrawiam.
Offline
Strony: 1